Voor veel securityteams begint een aanval op het bedrijfsnetwerk vaak met een phishingmail of het misbruiken van een kwetsbaarheid. Er zijn echter ook technieken die het wervingsproces benutten om legitieme toegang te verkrijgen. In juli bracht het Amerikaanse ministerie van Buitenlandse Zaken een waarschuwing uit over Noord-Koreaanse IT-werknemers die zich voordoen als burgers van andere landen om zo werk te verkrijgen. Eenmaal in dienst sturen deze werknemers hun salarissen terug naar hun opdrachtgevers in Noord-Korea.

Ook het FBI waarschuwt dat deze frauduleuze werknemers hun toegang kunnen gebruiken om broncode-repositories te kopiëren, vertrouwelijke informatie te exfiltreren en andere cybercriminaliteit te faciliteren. Na ontdekking of ontslag proberen sommigen hun werkgevers te chanteren met de dreiging gestolen code en data openbaar te maken.

Deze praktijken tonen een kwetsbaarheid aan tussen het verifiëren van een identiteit en het bewijzen wie daadwerkelijk een account gebruikt. Zo kan een cv geloofwaardig lijken en kan een laptop op een binnenlands adres worden afgeleverd, maar geen van deze controles bewijst dat de persoon die het interview voerde ook degene is die het apparaat ontvangt of inlogt. De uitdaging voor servicedeskmedewerkers is om te bevestigen dat de persoon die toegang aanvraagt zowel echt als een legitieme nieuwe medewerker is.

De methoden waarmee nep-remote medewerkers de wervingscontroles omzeilen, zijn onder meer het veranderen van nationaliteit of identiteit, wat een belangrijke tactiek is van Noord-Koreaanse IT-werknemers. Zij vervalsen gegevens bij registratie op online platforms, bijvoorbeeld door identiteitsdocumenten te vervalsen, zich voor te doen als een ander of een proxy te gebruiken voor accountregistratie. Daarnaast creëren zij nep-profielen met behulp van AI om hun identiteit geloofwaardiger te maken, waarbij zij professionele profielen en socialmediaprofielen aanmaken die qua toon en taalgebruik overeenkomen met echte IT-professionals.

Verder vermijden deze nep-werknemers vaak directe stortingen van salaris en geven de voorkeur aan geldtransfers of cryptocurrency. Noord-Koreaanse werknemers gebruiken soms een derde partij voor salarisontvangst, aan wie zij betalen voor het gebruik van het account. Ook verbergen zij hun locatie met tools zoals VPN's en remote desktopsoftware, waardoor het lijkt alsof zij lokaal werken. Sommige nep-werknemers gebruiken zelfs tussenpersonen voor de levering en het gebruik van apparaten, waarbij werkgever-uitgegeven computers op een adres in het land van de vermeende werknemer worden afgeleverd. De tussenpersoon houdt de apparaten aan staan en verbonden, zodat de werknemers in het buitenland deze op afstand kunnen bedienen.

Hoewel achtergrondcontroles, werkvergunningen en identiteitschecks bedoeld zijn om de betrouwbaarheid van een kandidaat te bevestigen, benutten deze nep-remote operaties de lacunes tussen verschillende verificatiemethoden. Een organisatie kan bevestigen dat een identiteit bestaat, dat de persoon mag werken en dat een laptop is afgeleverd op een goedgekeurd adres, maar toch inloggegevens uitgeven aan een account dat uiteindelijk door iemand anders wordt beheerd. De gebruikte tactieken zijn zo ontworpen dat zij aan specifieke controles voldoen: gestolen of via proxy aangeleverde documenten voldoen aan identiteitsvereisten, gefabriceerde cv's passeren de eerste screening, proxies of bekwame medewerkers slagen voor het sollicitatiegesprek, het adres van de tussenpersoon voldoet aan het afleverproces en een 'laptopfarm' voldoet aan locatie- en apparaatverwachtingen.